研究称约九分之一 AI 模型延迟或未进入欧盟，员工转而使用未获批工具

欧洲的AI监管框架正面临一个两难：当最新工具延迟进入欧洲或以缩减形式发布时，部分用户会转向保护更少的替代服务。

身份识别公司Okta于3月发布的一项覆盖七个国家784名高管和知识工作者的调查显示，52%的员工表示曾在工作中使用未获批的AI工具，其中57%称审批流程太慢或太难，49%称获批工具无法满足需求。

研究发现了什么

结果显示，约九分之一的模型延迟进入欧盟或完全未进入；在英国，这一比例接近十四分之一。涉及图像、音频和实时视频的发布遇到的障碍似乎多于纯文本模型。

在四家公司中，Meta在欧盟延迟发布的比率最高，约为其发布总量的四分之一。研究人员初步将68个案例中的56个主要归因于监管，并指出数据保护规则、尤其是涉及用个人数据训练模型的规则，是最常见的监管障碍。研究未发现有力证据表明《人工智能法案》迄今造成延迟，但指出该法案针对通用模型提供方的规则直到2026年8月才可执行，晚于研究覆盖的时段。

监管时间表

《人工智能法案》的透明度义务于8月2日生效。根据第50条，聊天机器人和语音助手提供方必须确保用户在首次交互时即知晓自己在与人工智能互动；生成式工具提供方还须以机器可读方式标记人工智能生成的图像、音频、视频和文本，以便识别合成内容。

《数字综合法案》于7月27日生效，将招聘、信用评估和教育等高风险用途的规则推迟至2027年12月2日，对医疗器械等受监管产品中内置人工智能的规则推迟至2028年8月2日。8月2日前已上市的生成式工具须在2026年12月2日前补上机器可读标记。这些义务落在开发和供应人工智能工具的公司身上，用户在此之外获得的保护，取决于其最终使用哪款产品和哪个账户。

员工为何绕开审批

在Okta的样本中，法国和德国的使用率最低，分别为31%和32%，美国为67%。这意味着欧盟两大经济体中仍有近三分之一的员工在使用雇主未批准的工具。受访高管中有58%表示，其组织在过去12个月处理过与人工智能相关的安全问题或险情。

保护如何变薄

用户放弃的保护可能是具体的。OpenAI的帮助页面说明，除非用户选择退出，否则其可能使用个人服务的对话训练模型，而默认不使用企业、商业和API产品的输入输出用于该目的。员工若将工作从公司账户转到个人账户且未更改相关设置，公司数据便从受保护范围移入可用于训练的范围。

以自由和开源许可发布、权重公开的模型承担的义务较轻。根据《人工智能法案》第53条，除非模型被认定构成系统性风险，其提供方无需为监管机构准备技术文档，也无需向在其之上开发的开发者提供集成信息。

网络安全公司Upstream的副总裁Shira Sarid-Hausirer对150sec表示，组织失去的是围绕工作的整个控制层，包括身份与访问控制、审计日志、数据防泄漏、数据保留与驻留保证，以及使公司数据不进入模型训练的合同条款。她补充说，使用本地运行的开源权重模型时，组织还失去供应商的安全防护措施和核查模型权重来源的途径。她说，更大的问题在于这种损失几乎不可见，安全团队通常在敏感代码、客户数据或工程文件出现在不该出现的地方之后才发现。

要点

• GovAI比较了375个模型的欧美发布时间
• 约九分之一模型延迟或未进入欧盟
• Meta在欧盟延迟发布的比例约为四分之一
• 52%受访员工曾使用未获批AI工具
• 58%高管称过去12个月处理过AI相关安全事件